HubSpot で EU/UK 宛にメールを送るときの注意点 ── トラッキング同意と製品仕様の実務メモ

• 対象: HubSpot（特に Marketing Starter）で EU/UK 居住者にマーケティングメールを配信している、または配信を検討している運用者
• 出典はすべて HubSpot ナレッジベースおよび公開されている規制文書。参照日 2026-07-28
• 筆者は法律家ではありません。最終的な適法性の判断は法務部門・DPO に確認してください
• 実ポータルでの検証を伴わない項目には ⚠ を付けています

1. まず法令を3層に分けて理解する

ここを混ぜると設計が破綻します。HubSpot の機能名と法令が1対1で対応していないのが混乱の元です。

5条3項は「個人データかどうか」を問わない

最も見落とされる点です。ePrivacy 5条3項が問うのは「端末に情報を保存したか／保存済み情報にアクセスしたか」だけで、その情報が個人データであることは要件ではありません。

EDPB Guidelines 2/2023（ePrivacy 指令5条3項の技術的適用範囲）は、メール内のトラッキングピクセルと計測 URL をユースケースとして扱っています。

つまり 「匿名化したから同意は不要」は成立しません。 「strictly necessary」の免除も、利用者（＝受信者）が要求したサービスの提供に不可欠な場合に限られ、送信者側の効果測定は該当しません。

HubSpot の「処理の法的根拠」は5条3項の同意ではない

HubSpot には「処理の法的根拠（Legal basis for processing contact’s data）」というプロパティーと、「法的根拠に基づいて E メールを送信」という設定があります。これは GDPR 6条と ePrivacy 13条（送っていいか）に効くもので、5条3項（計測していいか）には効きません。

法的根拠には**「正当な利益」を選択できます**。この場合コンタクトは送信ゲートを通過し、トラッキングも紐付きますが、ePrivacy の同意は取得されていません。 ここが最も多い設計ミスです。

2. HubSpot の製品仕様で確定していること

すべて公式ドキュメント記載。プラン要件はドキュメント上の値です。

2-1. メール単位のトラッキング OFF は全プランで可能

• プラン要件: All products and plans
• 操作: Marketing > Email → 下書きを開く → setup アイコン → Email Performance → 「Track opens and clicks for this email」を OFF
• 引用: “Turning off tracking for an individual email also removes the tracking pixel from that email”

制約が3つあります。

2-2. 地域別・コンタクト別のトラッキング切替は、上位プランにも存在しない

アカウントレベルの設定は次の4トグルだけです。

国・地域・コンタクトプロパティー・リストによる差別化の設定は文書上どこにもありません。

これが記載漏れでない根拠として、同じ HubSpot が Web Cookie の同意バナーでは地域指定を実装しています。

“In the Countries dropdown menu, you can select EU, EEA, and UK countries.”

Cookie には地域ゲートを作り、メールトラッキングには作っていない、という非対称です。

2-3. アカウント単位の OFF では匿名計測が継続する

“If you turn off tracking email opens, HubSpot will still anonymously track this data to support the network health of HubSpot’s email sending infrastructure.”

メール単位の OFF（「ピクセルを削除する」）とは記述が異なります。 両者の関係は文書化されていないため、後述の照会対象です。

なお §1 のとおり、匿名でも5条3項は適用されます。「匿名だから問題ない」という整理はできません。

2-4. 法的根拠のないコンタクトには計測が追加されない

“Tracking (opens and clicks) for emails won’t be added for contacts without legal basis.”

あわせて「Send emails to contacts with legal basis」トグルは、法的根拠かつオプトイン済みのコンタクトにのみ送信を許可すると記載されています。つまりそのコンタクトにはそもそもメールが届かないため、ピクセルも届きません。

ただし §1 のとおり、法的根拠に「正当な利益」を選べばゲートを通過します。

2-5. ダブルオプトインは Starter では全フォーム一律

• 基本機能: All products and plans
• 引用: “A Marketing Hub Professional or Enterprise subscription is required to use advanced double opt-in features.”

副作用: Starter で ON にするとすべての地域のフォームに確認メールが挟まり、EU 以外のコンバージョン率も下がります。

2-6. 1対1営業メールの追跡は管理者が全ユーザー一括で OFF にできる

• プラン要件: All products and plans
• 操作: Settings > Objects > Activities → 「Allow all users to track emails and see recipients open and click on their emails」のチェックを外す
• 効果範囲: CRM、会話受信トレイ、シーケンス、Gmail / Outlook / Office 365 からの送信すべて
• ユーザー側の上書きは不可（メールクライアント側のチェックボックスがグレーアウトする）

ただし全ユーザー一律です。 担当者別・宛先別・地域別の切替はありません。全体 OFF にすると EU 以外の営業も開封通知を失います。

この領域は受信者が「マーケティングメールだ」と認識しないため、見落とされやすい割にリスクが高いです。

2-7. トラフィック分析（UTM パラメーターレポート）は上位プラン必須、かつ cookie 依存

• プラン要件: Marketing Hub Professional / Enterprise（または Content Hub Pro / Enterprise）
• 引用: “A visitor is someone who visits your site, tracked by the cookie placed in their browser by the HubSpot tracking code installed on your site.”

つまり Starter には機能自体が無く、上位プランにしても cookie 同意を拒否した訪問者は欠測します。 「計測のために上位プランへ移行する」理由にはなりません。

2-8. フォーム送信は cookie 拒否時も UTM から流入元が推測される

“If a visitor prevents cookie tracking by using an extension or opting out of your cookie policy, and then submits a form, HubSpot will attempt to infer the context of the submission to more accurately record its source, usually through UTM parameters.”

これが同意に依存しない唯一の実数です。 ページビューは数えられませんが、フォーム送信は配信に紐づきます。

2-9. Google Consent Mode v2 は全プランで使える

• プラン要件: All products and plans
• 引用: “Due to Google’s explicit consent requirement, Consent Mode will only work in the EEA, EU, and the UK if a HubSpot opt-in cookie consent banner (with or without categories) displays for those visitors.”

EU/UK で機能させるには、HubSpot のオプトイン型同意バナーの表示が条件です。同意拒否分は推計になります。

3. ここから導かれる設計パターン

3-1. 「2通に分けて送る」

地域別の自動切替が無いので、同一内容のメールを2通用意して送り分けるしかありません。全体像は次のとおりです。

要点は3つです。

• 判定はコンタクトの属性で自動化できる。 国／地域・IP 国と配信登録ステータスをリストの条件式に書けば、振り分けは HubSpot 側で完結します
• 人がやるのは「2通つくって2回送る」だけ。 Starter ではワークフローが使えないため、ここは自動化できません
• 計測結果の置き場が2通で異なる。 計測 OFF 便は UTM 経由のサーバーログとフォーム送信数、計測 ON 便は従来どおり HubSpot のタイムラインです

3-2. 既定を「計測なし」に倒す

アカウント設定を OFF にして既定を作ろうとしてはいけません（§2-3 のとおり匿名計測が残る）。アカウント単位は ON のままにする必要があるため、新規メールの既定は「計測 ON」になります。

そこで作業の原本を「計測 OFF の下書き」にして、そこから複製します。

送信後は変更できないため、失念が違反側に倒れない構造にしておくことが重要です。

⚠ 一度 OFF にしたメールを送信前に ON へ戻せるかは、公式ドキュメントに記載がありません。実機で確認してください。

3-3. 判定不能は必ず規制側に倒す（フェイルセーフ）

国が空欄のコンタクトを「EU 扱い」に含めます。HubSpot 自身も VPN 利用時は地域判定が意図どおりに働かないと注記しています。

入れ忘れると、判定不能のコンタクトが計測 ON 便に落ちます。

3-4. 対象地域は31か国

「EU27＋英国」では足りません。EEA 3か国（アイスランド・ノルウェー・リヒテンシュタイン）にも GDPR・ePrivacy が適用されます。

EU27＋EEA3＋英国＝31か国。スイスは EEA 外ですが独自法（改正データ保護法）があるため別途判断が必要です。

3-5. リスト条件は「グループ間 OR・グループ内 AND」

HubSpot のリスト条件は、同一グループ内が AND、グループ同士が OR です。したがって

(A または B または C) かつ D

はそのままでは書けません。3グループに展開します。

グループ1 ： A かつ D
グループ2 ： B かつ D
グループ3 ： C かつ D

⚠ 新しいリストエディタでグループ内 OR が使えるかは実機確認を。

3-6. 抑止リストは静的リストにして、除外条件に入れる

「有効な同意が存在しないコンタクト」は人間の判断で決まるため、条件式で表現できるプロパティーがありません。 静的リストを作り、他のすべての送信用リストに「このリストのメンバーでない」を除外条件として入れます。

これを入れ忘れると、送ってはいけない相手が送信対象のリストに入ります。

3-7. 送信時は必ず除外リストを指定する

「送信対象リストを正しく選ぶ」だけの運用は、1回の選択ミスで違反になります。除外は毎回同じ操作なので習慣化でき、事故率が下がります。

4. トラッキング同意の取得経路は3つに分かれる

同意は2種類あり、相手が「配信同意」を持っているかで取得経路が変わります。ここを混ぜると設計が破綻します。

2種類の同意は段階ではなく直交しています。

組み合わせは4通りですが、実際に成立するのは2通りです。配信同意がなければ計測同意の有無にかかわらず送れません。

経路2 が実務の主戦場になる

既存で配信同意があるコンタクトには、まず計測 OFF 便を送ります。 配信同意があるので送信は適法で、計測 OFF なので5条3項も発生しません。そのうえでフッターに配信設定ページのリンクを置き、本人がフォームを送信することでトラッキング同意を回収します。

同意が入ればリストの条件式が自動で振り分けを変えるため、手動更新は不要です。

経路3 は「メールで依頼できない」

配信同意がない相手には、同意依頼メール自体が送れません。依頼メールもダイレクトマーケティングに該当し得るためです（後述の §6-3）。サイト訪問時のフォーム、商談時の URL／QR 案内、受注時の申込書、展示会の受付フォームといったメール以外の経路に迂回します。

記録すべき項目

GDPR 7条(1) は立証責任を管理者に課します。取得日時／取得元／同意文言のバージョンを残してください。

一次証跡は HubSpot のネイティブ履歴（配信登録の変更履歴・プロパティー変更履歴）を使い、手で埋めるカスタム日付は補助に留めます。Starter ではワークフローが使えないため、手動の日付は必ず埋め漏れます。

5. 既存データは4バケットに仕分ける ── 全員リセットはしない

「一旦リセットして全員に許諾メールを送る」は、この種の計画で最も法的リスクが高い操作です。

リセット＋一斉リパーミッションの問題点は5つあります。

正しい手順は、送信より前に証跡の質で仕分けることです。

バケット2 の確認優先度が最も高い点に注意してください。soft opt-in が使えると判明すれば、配信できる相手が増えます。 逆にバケット4 を完全に削除してはいけません。削除すると後で別ソースから再インポートして配信を再開してしまいます。抑止目的での保持は正当な目的です。

6. よくある落とし穴

6-1. GDPR の法的根拠を埋めれば計測してよい、と考える

§1 のとおり別階層です。「正当な利益」で埋めたコンタクトは送信ゲートを通過し、トラッキングも紐付きます。運用現場は必ず楽な方（一括で正当な利益を付与）に流れるため、ゲートが実質的に無効化されます。

6-2. 会社の所在国で地域を判定する

ePrivacy 5条3項は実質的に端末の所在、GDPR 3条(2) は EU 域内にいる個人に結び付きます。会社の所在国ではありません。

EU 本社企業の日本駐在員、日本企業の EU 駐在員、という逆転が普通に起きます。あわせて、IP による国推定はそれ自体が個人データの処理です。

6-3. 「一旦リセットして全員に許諾メールを送る」

§5 のとおりです。証跡を捨て、新規の違反を作り、リストの大半を失います。

6-4. クリックを同意の証跡にする

計測 OFF で送るメールではクリックが記録されません。「同意ボタンを押したから同意」という設計は、記録が残らず、同意の明確性要件も満たしません。必ずフォーム送信で記録します。

6-5. ブログや記事をフォームでゲートして「クリックを数える」

測定のために事業資産を毀損する取引です。

• ブログの目的（リーチ・SEO・認知）を壊す
• ゲートしたコンテンツは検索エンジンにインデックスされない
• フォームを埋める人はごく一部。読者を失ったうえで偏った少数を測ることになる
• 公開記事を読む目的に個人データの提供を条件付けるのは、データ最小化（GDPR 5条1項(c)）の観点でも筋が悪い

同じ理由で、フォームを擬似リダイレクタとして挟む案（メール → フォーム → 本来のページへリダイレクト）も成立しません。自動送信にすればフォームの体裁を借りたクリック計測になり、受信者を事前入力するには受信者 ID が必要になります。

6-6. 配信設定ページへのアクセスを反応指標に流用する

本人の状態を表示するには本人を識別する必要があるため、設定ページのリンクは必然的に受信者ごとの識別子を含みます。 これは「本人が要求したサービスの提供」に必要なので機能上必然です（配信停止手段の提供は ePrivacy 13条でも要求される）。

ただしそのアクセスログを反応指標として集計し始めた瞬間に、裏口からクリック計測を作ったことになります。 機能提供のためだけに使う、と明文化しておくべきです。

6-7. トラッキング同意を配信同意と抱き合わせる

同意は特定的でなければなりません。1つのチェックボックスにまとめると両方が無効になり得ます。

□ ニュースレターの配信を希望します
□ 配信されたメールの開封およびリンクのクリックを計測することに同意します
   （同意されない場合もメールは配信されます）

括弧内が重要です。トラッキング同意を配信の条件にすると「自由に与えられた同意」でなくなります。またチェックボックスは既定で未チェックにしてください（CJEU Planet49）。

6-8. 撤回導線を配信停止で兼ねる

配信停止は「配信の停止」であって「トラッキング同意の撤回」ではありません。 GDPR 7条(3) は、同意を与えたときと同じ容易さでの撤回を要求します。

7. 「同意者 ON」と「EU 一律 OFF」── 2方式の差分

ここまでの設計には2つの方式があります。配信作業（2通つくって2回送る）はどちらも同じで、違いは「トラッキング同意を管理するか」だけです。

判断の分かれ目は「取得率」です。 同意者 ON にしても取得率が 1〜3割なら、実際に測れるのは EU/UK の一部にとどまります。それでも個人単位のクリックをリードスコアリングやフォローに実際に使っているなら同意者 ON、開封率を配信間の比較にしか使っていないなら EU 一律 OFF が合理的です。

Starter では特に効いてきます。ワークフローが使えないため同意状態の更新が手作業になり、維持する同意状態がない EU 一律 OFF のほうが事故率が下がります。

なおどちらを選んでも共通で必要なものがあります。

• メール単位 OFF で実際にピクセルが消えることの確認（書面照会＋ raw HTML 検査）
• 配信同意（ePrivacy 13条）の仕組みは EU 一律 OFF でも全て必要
• 1対1営業メールは別問題（§2-6。全ユーザー一律の OFF しかない）
• サイト側の Cookie 同意・第三国移転・GDPR 27条代理人は本件と別に必要

8. 計測はどうなるか

計測 OFF で送る相手については、次のようになります。

UTM は付けておくべき

HubSpot で URL ログ分析をするためではありません（Starter に機能がなく、上位プランでも cookie 依存）。理由は3つです。

1. フォーム送信の流入元としてコンタクトプロパティーに残る。 レポート機能ではなくプロパティーなので、リストの条件でメンバー数を読む／書き出して集計する、という方法で Starter でも数えられます ⚠ プロパティー名と参照可否は実機確認を
2. 送信後に UTM は追加できない。 将来リダイレクタを置く、LP を自社ドメインへ移す、といった選択肢を採ったとき過去の配信に遡れません
3. 規制対象外の地域では GA4 で通常どおり使える

ルールは1つ。受信者ごとのユニーク ID は付けないこと。 付けた瞬間に計測目的の識別子になり、同意が必要になります（EDPB Guidelines 2/2023 は tracked URL を広く解しています）。

リンク先がベンダーホストのページだと選択肢が減る

LP やブログが HubSpot CMS 上にある場合、サーバー／CDN のアクセスログを取得できません。 自社ドメインにリダイレクタを1本置ければ配信単位のクリック実数が取れますが、置けない場合は上表のとおりフォーム送信数と GA4 に限られます。

ベンダーホストのページは CMP が必須になる

HubSpot ホストの LP・ブログには通常 HubSpot のトラッキングコードが含まれます ⚠。つまり、

計測 OFF のメールを送っても、受信者がリンクをクリックして着地した瞬間に cookie の対象になります。

メール側（5条3項）を解決しても、サイト側で同意が必要です。CMP は「あれば良いもの」ではなく必須要素です。

9. 公式ドキュメントに書かれていないこと

以下は記載がなく、ベンダーへの書面照会が必要です。チャットや口頭の回答は証跡になりません。

照会の回答だけで判断しない

ベンダーの説明と実際の挙動は食い違うことがあります。 次の実測をあわせて行ってください。

1. テストコンタクト宛に、トラッキング ON の通とメール単位 OFF の通を送る
2. 受信側（自社ドメイン外の環境）でメッセージのソースを表示し、両方を全文保存する
3. 比較する

「OFF にした」と「実際にピクセルが消えた」は別です。 後者だけが検証になります。

10. スコープから外しやすいもの

メール側の対応だけでは終わりません。以下は別途必要です。

• サイト側の Cookie 同意（CMP） ── ePrivacy 5条3項の本命はむしろサイト側
• 1対1営業メールの追跡 ── §2-6。全ユーザー一律の OFF しかない
• 第三国移転（GDPR 5章） ── ベンダーが米国企業の場合の移転根拠（DPF／SCC）と移転影響評価
• GDPR 27条の EU 代理人・UK 代理人 ── EU/UK 居住者にマーケティングする域外事業者に指名義務が生じ得る。未指名は独立した違反で、発見も容易
• GDPR 30条 ROPA / 28条 DPA / 35条 DPIA
• GDPR 13条の情報提供項目 ── 保存期間、受領者の類型、移転先と根拠、監督機関への苦情申立権
• 配信元地域の国内法 ── 日本なら電気通信事業法の外部送信規律（第27条の12）や個人情報保護法。「EU 以外は自由」ではありません

11. まとめ

1. 5条3項は匿名データにも適用される。 「紐付けなければ OK」は成立しない
2. GDPR の法的根拠と ePrivacy の同意は別階層。 「正当な利益」でゲートを通過しても同意はゼロ
3. 地域別の自動切替は無い。 メール単位の OFF を使って2通に分けるしかない
4. 既定を安全側（計測なし）に倒す。 送信後は変更できないため、失念が違反にならない構造にする
5. 判定不能は規制側に倒す。 IP 判定は VPN で崩れる
6. 同意はフォーム送信で取る。 経路は3つあり、配信同意がない相手にはメールで依頼できない
7. リセット＋一斉リパーミッションはやらない。 証跡を捨て、新規の違反を作り、リストの大半を失う
8. 取得率が低いなら「EU 一律 OFF」を起点にする。 維持する同意状態がないぶん、Starter では事故率が下がる
9. 測定のためにコンテンツをゲートしない。 目的と手段が逆転する
10. 文書に書かれていない点はベンダーへ書面照会し、あわせて実測する

本記事は公開ドキュメントの読解と一般的な設計上の注意点をまとめたものです。特定の事業者の運用状況を記述したものではありません。プラン要件や機能は変更されるため、引用箇所は必ず原文と参照日を確認してください。適法性の判断は法務部門・DPO にご確認ください。